سلام دوستان
امینت دربرابر سیملینک 100% نیست اما اگر ممکه یک توضیحی بدید که دقیقا برای جلوگیریش باید چه اقداماتی رو انجام داد که بایپس هم نشه؟!
نمایش نسخه قابل چاپ
سلام دوستان
امینت دربرابر سیملینک 100% نیست اما اگر ممکه یک توضیحی بدید که دقیقا برای جلوگیریش باید چه اقداماتی رو انجام داد که بایپس هم نشه؟!
سلام
ازطریق easyapacheمیتونین تیکش رو بزنین و کامپایل کنین تا سیملینک نشه سرورتون
ارادت
فقط همین؟!!نقل قول:
نوشته اصلی توسط 007
یعنی هیچکار دیگه نیاز نیست؟
کذوم تیک ؟نقل قول:
نوشته اصلی توسط 007
1- تعریف open_basedir در php.ini
2- استفاده از suphp
3- جلوگیری از اجرای perl / python / cgi در وب سرور و سی پنل
4- جلوگیری از override فایل .htaccess برای دور زدن تنظیمات امنیتی
5- استفاده از suhosin و رول های امنیتی و تعیین کانکشن ها
6- کمتر کردن permission های فایل های /usr/bin/perl و /usr/bin/python
7- کمتر کردن permission های فایل های /bin/ln و /bin/cat و /bin/ls و باقی دستوراتی که برای symlink در پرل و cgi اجرا می شوند .
8- غیرفعال کردن Followsymlinks در وب سرور و .htaccess
9- تغریف کرون جاب برای ست کردن دسترسی 400 برای فایل های کانفیگ اسکریپت ها
10- مطمئن شدن از دسترسی 750 فولدر /home/user/public_html و user:nobody
و .. . .!
- - - Updated - - -
این مورد فقط در وب سرور صورت میگیرد و مربوط به وب سرور استنقل قول:
نوشته اصلی توسط 007
اگر از سمت php یا python / perl / cgi انجام شود این مورد نمیتواند جلوی آن را بگیرد.
- - - Updated - - -
Symlink Race Condition Protectionنقل قول:
نوشته اصلی توسط vhost
سلام.
به موردی که دوستان عزیز فرمودید این راهم اضافه میکنم ،
استفاده از پچ کرنل grsecurity که استفاده از ان کاری تخصصی هست و پیشنهاد میکنم اگر اطلاعاتی ندارید روی سرور تست این را تست کنید.
به کمک grsecurity میتوانید وب سرور و کرنل سیستم عامل را پچ کنید و نیازی به بستن فانکشن یا پرل یا پایتون و محدودیت های اضافه ی دیگر نیست.
لینک اموزشی:
SecurityTargets Blog: Hardening CentOS kernel with grsecurity
همچنین خیلی از موارد امنیتی دیگر را نیز میتوانید تنظیم کنید.
موفق باشید./
تنها راه جلوگیری تنظیم رول ها هست عزیز ، بعد از مراحل بستن دسترسی کاربر برای روشن کردن یا خاموش کردن موارد امنیتی باید بریم سراغ رول ، بصورتی که فایل شل نات فوند بده وقتی کلیک کنه روش در اینصورت میشه گفتنقل قول:
نوشته اصلی توسط secureconfig
جلوش گرفته میشه با پچ کرنال هم کامل نمیشه جلوش رو گرفت
اگرم از php 5.3 استفاده میشه پیشنهاد من استفاده صحیح از سیف موده ، صحیح فرق داره با استفاده غلط
تغییر دسترسی پوشه هایی که جناب سنجری هم گفتند
بفرض
/home/user/public_html
برای نمایش ندادن فایل های روت کاربر توسط شل هست.
که واقعا یه چیز جدی هست.
روی یه سرور کانفیگ نشده یه شل به شما میدم از طریق همون مسیر میتونید به همه فایل های کاربر دسترسی خواند داشته باشید.
سیمیلینک مهار شدنی بصورت 100% نیست.
البته برای کسایی که بلدن هک رو هم 100% هست ولی برای غول هکر ها میشه 95% حساب کرد.
ولی با اینکارا 95% تضمینی هست.
سلام.نقل قول:
نوشته اصلی توسط meysam021
فکر میکنم منظور شما انتی شلر هست که شل روی سرور اجرا نشود.
یه شل از سرور بهتون میدم - انتی شلر نداره - disable_funcitons none - سیف مود خاموش - پرل ، پایتون و ... باز کلا هیچ محدودیتی ندارد !
ببینم چطور میتونید نفوذ کنید ! - اگر با این شرایط تمایل داشتید پ.خ دهید تا شل را تقدیمتان کنیم !
--------------------------------------------------------------------------------------------------------------------------
انتی شلر و ... تنها برای جلوگیری از نفوذ به سایت مناسب هست نه سرور ! مثلا اپلود سنتر دیگه روش شل اپ نمیشه و... البته برخی از شلر ها روی انتی شلر نیز کار میکنند !
موفق باشید./
دقیقانقل قول:
نوشته اصلی توسط meysam021
جلوی symlink را تا حدی با محدودیت یا حتی patch کردن کرنل می توان گرفت اما هیچ چیز صدرصد نیست.
جناب حامد مسافر عملا اعلام کردند که هیچ سدی حتی grsecurity یا cloudlinux هم نمی تواند جلوی symlink را بگیرد.
How to Disable Symlinks on linux WHM/cPanel Server ?HostRipples $1 Hosting - Cheap reseller Hosting | HostRipples $1 Hosting - Cheap reseller Hosting
از این روش استفاده کنید ولی اگر به صورت جدی میخواهید سیملینک رو ببندید و کلا از لینوکس غیرفعال کنید باید کامیت های موجود برای غیرفعال کردن سیملینک رو استفاده کنید
اگر چک لیست های امنیتی لینوکس وب هاستینگ رو رعایت کنید اصلا نیازی به بستن سیملینک و .. نیست
ارسال کنید بنده برای آقای مسافر ارسال میکنمنقل قول:
نوشته اصلی توسط secureconfig
هیچ چیز صدرصد نیست .
بنده نگفتم 100٪ هست ! گفتم بدون محدودیت هم میشه ایمن کرد ! :)نقل قول:
نوشته اصلی توسط Yas-Host
لینک شل را پ.خ کردم.
موفق باشید./
ایمن بودن فقط به symlink نیست!نقل قول:
نوشته اصلی توسط secureconfig
/tmp سرور شما (همان شلی که به من دادید) کمتر از 5 دقیقه 18 گیگابایت پر شد!
باقی پارتیشن هاتون هم همینطور:)
اگر بنده ساعت 1 شب اقدام به اینکار کنم کاربران شما تا ساعت 6 صبح دارای اختلال هستند!
mysql از کار میافتد!
در چند دقیقه با استفاده از cgi توانستم 18 گیگابایت فضای tmp سرور شما را پر کنم!!! با wget :)
چند وقت پیش در یکی از تاپیک ها در مورد php بحث میکردیم که رضا شیخله اعلام کردند امنیت را فقط symlink میبنم و واقعا راست می گفتند!
در ضمن چرا شل را حذف کردید ؟!!!
:)
یعنی به همین زودی اقای مسافر دارند بر روی سرور بنده کار میکنند ؟!
جالب نیست به اسم فرد دیگری دسترسی بگیرید !
htaccess. جالی نوشتید ،
deny from all
allow from 151.239.152.110
و احتمالا قصد مجازی کردن سرور بنده را دارید چون iso سنتوس 6.6 در حال دانلود هست :)
و فکر میکنم بشه با webroot-v2.php و sym/ به سرور نقود کرد !
فکر میکنم بیشتر قصد دارید سرور داون شود تا نفوذ ! پر کردن tmp/ مشکلی ایجاد نمیکند :)
خیر . هنوز بنده بهشون اصلا اطلاع ندادم و فکر میکنم احتمال اینکه قبول کنند کم هست چون هزینه میگیرند.نقل قول:
نوشته اصلی توسط secureconfig
من تست نفوذ انجام ندادم و نمیدهم فقط میخواستم بهتون ثابت کنم امنیت فقط به symlink نیست! به جلوگیری از ایجاد اختلال هم وابسته هست.
تاپیک انحراف پیدا کرد .
افزایش حجم tmp مشکلی ایجاد نمیکند و برای mysql هم مشکلی ایجاد نمیشود :)نقل قول:
نوشته اصلی توسط Yas-Host
پس اسکریپت /scripts/securetmp اینجا نخودی هست ؟:ینقل قول:
نوشته اصلی توسط elementary
اگر tmp پر شد اسکریپت ها لوگین نمی شود! phpmyadmin نمیتواند وارد شود و seesion ایجاد کنند
عملا سرور فلج می شود . همین دیروز بود tmp پر شده بود که باعث دان شدن mysql شده بود !! tmp هم از inode پر شده بود
http://bugs.mysql.com/bug.php?id=69926
http://www.vbulletin.com/forum/forum...g-tmp-stmglp0p
فقط کافی هست عبارت /tmp 100% full mysql crashed رو سرچ کنید
البته این را عرض کنم که شاید شما تجربه این را نداشته باشید یا tmp پر شده باشد اما سرویس mysql دان نشده باشد ( نظر شخصی هست )
خیلی جالب هست بعد از اینکه تاپیک 15 ساله بودن جناب secureconfig رو دیدم که جناب سجنری در همه جا قصد بردن ابروی ایشون رو داشتن این بحث اینجا درست شد !
1.عزیز پوشه tmp سرور رو شما پر کنید برای mysql مشکلی ایجاد نمیشه بلکه اگر سرور ریبوت بشه موقع بوت شدن ممکنه مشکلی ایجاد بشه در ضمن شما از کجا میدونید ایشون از پوشه tmp برای کش کردن استفاده کردند ؟! ایشون خیلی راحت ممکنه یک پوشه دیگر ساخته باشند - نکنه منظورتون از اینکه امنیت جلوگیری از اختلال هم هست اینه که بیایند دسترسی به این پوشه را از کاربر بگیرند ؟! عزیز این پوشه باید قابل دسترسی توسط کاربر باشه اما همونطور که الان شما قصد خرابکاری داشتید اگر کاربری قصد خرابکاری داشته باشد امکان جلوگیری دارد.
جناب secureconfig با بنده تماس بگیرید این چهارشنبه اسکریپتی برای جلوگیری از خرابکاری (به قول ایشون) مینویسم و تقدیم میکنم هر چند که میدونم خودتون هم توانایی نوشتن ان را دارید.
نقل قول:
نوشته اصلی توسط Yas-Host
کد PHP:
#!/bin/bash
while :
do
sudo rm -r /tmp/*
sleep 5000
done
Save.session و tmpdir mysql را تغییر بدید تا فلج نشود.
نقل قول:
نوشته اصلی توسط Yas-Host
راه حل خوبی ارائه دادید برای mysql و phpنقل قول:
نوشته اصلی توسط LIAN2
اما برای سی پنل که از /tmp نیز برای session های خودش استفاده می کند چطور ؟
نقل قول:
نوشته اصلی توسط Yas-Host
جالبه :) یعنی شما تاحالا کانفیگ mysql انجام ندادید ؟
اصلی ترین کار برای کانفیگ mysql تغییر tmpdir هست دوست عزیز خب معلومه وقتی mysql کانفیگ نشه نمیتونه چندین وبسایت رو هندل بکنه و ممکنه با اختلال مواجه بشه !
برای سی پنل هم را حل هست مرد جوان ;)
نقل قول:
نوشته اصلی توسط Yas-Host
درود به همه دوستان
بهتر نیست بجای بحث های بیهوده و صرفا خراب کردن همکارانتون بدنبال افزایش بار علمی اینجا باشیم؟
همه ما میدانیم که بحث امنیت مطلق نیست اما خوب یک سرو راهها عرف هستند و برای میزبانی اشتراکی نیز مناسب هستند و مشکلی هم ندارند و صدها شرکت هاستینگ هم استفاده میکنند
چیزی که مشخص هستش اگر واقعا هکر یا تیمی فوکس روی سرور شما کنند اول و آخر میتوانند راه نفوذ را پیدا کنند .
بجای خراب کردن هم دیگر و دادن نسبت های زشت به هم که در شان این انجمن هم نیستند بهتره ستش در کنار هم باشیم و برای پیشرفت هم دانش این حرفه و هم it کشور اقدامی کنیم.
بحث هایی که میکنید جز پر کردن تاپیک از موارد بیهوده سودی ندارد و سعی کنید کارگشا و کمک هم دیگر باشید نه اینکه هم دیگر را خراب کنید که خودتان بالا باشید
بنده به شخصه شاید سنم از اکثر دوستان بیشتر باشه اما کوچک تمامی دوستانی هستم که خالصانه در انجمن فعالیت دارند و درک نار کمک به دیگران فکر گسترش کسب و کار خود هستند و نون حلال میخورند و همکاران و دوستان دیگر خود را نیز زیر سوال نمیبرند و رقابت سالم را در نظر میگیرند
ارادت
:53:
برای سی پنل هم میتوان از اسکریپتی که قرار داده شد در cron استفاده کرد - همینطور میشه اسکریپت های دیگه ای هم نوشت که بعد از دانلود فایل ها در tmp توسط کاربر فایل ها به صورت خودکار به home کاربر منتقل بشه و اگر امکانش نبود فایل ها پاک بشه.
به نظر من اصلا مشکلی نیست این قضیه پر شدن tmp.
این مورد ربطی به کانفیگ mysql نداردنقل قول:
نوشته اصلی توسط elementary
تغیر فولدر tmpdir برای mysql زیر یک ثانیه قابل انجام است اما وقتی می توان با چند تنظیم ساده از پر شدن tmp و جلوگیری از پر شدن آن توسط کاربر اقدام کرد نیازی به نوشتن اسکریپت حذف خودکار یا تغییر مسیر یا ... نیست.
بحث اصلی تاپیک کامل انحراف پیدا کرد
یک تاپیک که میتوان از محتویات درون آن برای جلوگیری از symlink در آن استفاده کرد :
[Resolved] Solutions for handling symlink attacks - cPanel Forums
<3 دوست عزیزنقل قول:
نوشته اصلی توسط Yas-Host
اینکه تغییرفولدر برای شما زیر یک ثانیه امکان پذیر هست یا اینکه شما اینطور راحت هستید
ربطی به موضوع اصلی کانفیگ mysql نداره وقتی شما اینطور راحت هستید دیگه نباید اون موارد امنیتی که توسط اوراکل ارایه شده رو انجام نداد
باسلامنقل قول:
نوشته اصلی توسط Yas-Host
لطفا توضیح دهید که چه کار کنیم که به همان روش ساده پوشه ی tmp پر نشود
باتشکر
درود دوست عزیزنقل قول:
نوشته اصلی توسط jahromweb
خوب میتوانید حجم پوشه tmp را افزایش دهید تا اصولی ترش این هستش که همان هنگام نصب OS یک پارتیشن مجزا برای /tmp ایجاد کنید که حجم بالایی داشته باشد سپس اقدام به secure tmp نمایید
همینطور اگر از شتاب دهنده هایی مانند Eaccelrator استفاده میکنید این شتاب دهنده ها بطور پیش فرض در tmp فایل ایجاد میکنند که بشدت پر میکنند این فولدر را که باز میتوان مسیر را تغییر داد که در فولدر دیگری فایل ایجاد کند.
همچنین برای کاهش ایجاد فایلهای session در TMP میتوان SESSION ها را در یک کش سرور مانند memcached ذخیره کرد که هم سرعت بهتری دارد و هم نیازی به نوشتن روی هارد نیست .
در مورد mysql هم با استفاده از دستور زیر در my.cnf میتوانید مسیر tmp را تغییر دهید:
tmpdir = /whatewer/you/want
همچنین فراموش نکنید که پوشه جدید باید previlage mysql داشته باشید تا بدرستی کار کند
و...
امیدوارم توضیحات بدردتون خورده بشه
/scripts/securetmp
chmod 1777 /tmp
بستن python / perl / cgi
تعریف open_basedir
سلامنقل قول:
نوشته اصلی توسط nginxweb
با حرفاتون کاملا موافق هستم اما بحث امنیت داخل ایران طوری شده که تا شروع به کل کل نکنند یک قطره آب هم از دست کسی نمیچکه :) افرادی که بلد هستند فراموش کردن که یاد دادن به بقیه هم کار درستیه و میتونه به یشرفت علم خودشون هم کمک کنه
همین انجمن را کامل بخونید کلا شاید یه برگه a4 هم نتونید از مطالب مربوط به امنیت نوت برداری کنید چون تمام موارد ذکر شده 90% مدام تکرار شده و 99% اصلا جزء مسائل اصلی و کلیدی نیستند
نقل قول:
نوشته اصلی توسط tizparvaz
بهتره اطلاعات خودتون رو حفظ كنيد نيازي نيست چيزي كه براي به دست آوردنش سختي كشيديد و اطلاعات با ارزشي هست به راحتي به كساني كه حتي فشار دادن يك دكمه تشكر بي ارزش براشون سخت هست ياد بديد! دانش اگر دست نا اهلش بيوفته اولين نفري كه ضربه مي خوره خوده شما هستي اگر امن سازي سرور به طور كامل بيان بشه هستند افرادي كه همين فردا طبق اون اطلاعات ادعاي فروش امن ترين هاست و سرور ايران رو بكنند ( سودجويي برخي افراد در حدي هست كه سابقه داشته شركت هايي با نصب DDOS deflate بر روي سرور هاي آلمان ادعاي هاست آنتي ديداس در همين انجمن مي كردند ) براي همين هست افرادي كه داخل انجمن فعال هستند و حل اين مشكلات براشون كاري نداره به گفتن مطالب تكراري و كليات بسنده مي كنند.
البته استاتر منظور من رو بد برداشت نكنند من منظورم كلي بود.
نه عزیز اصلا با این حرف موافق نیستم !
دانش ؟! به نظر من دانش رایگان هست چون علم فعلی فقط یک سری تعاریف اولیه در مورد پدیده ها هست که هیچ کس درکشون نکرده فقط معناشون رو تبدیل کرده مثل یک زبان جدید میمونه که ما هم فقط اصل پدیده هارو با زبان تبدیل میکنیم حالا این دانش بعد ساخته شدن حتما باید به همه منتقل بشه تا همه یک زبان باشند یا خیر؟!
سلام و درود.
چه بحث های جالبی شد اینجا.یک سوال بود,بعد رسید به دسترسی گرفتن و پوشه ها و علم و دانش و ....
اول بگم که,منم با حرف سجاد موافقم.دانش رایگانه.البته بستگی داره به دانش چی بگیم.
در مورد امنیت سرور و کلا سیم لینک زدن,
یک متغیرهایی مثلا follow simlink و این چیزا هستش که میشه داخل آپاچی و یا htaccess گذاشت ( اسم دقیقش یادم نیست.اما تو همین مایه ها هستش )
اولا برای سیم لینک زدن,باید ببینی کلا چکار میکنه.به زبون خودمون بگم که فراخوانی یک فایل و یا دسترسی به اون و .... تو همین مایه ها :D
حالا بیا بهش نگاه کن ببین چه کار هایی باید بشه که سیم لینک زده نشه.
اول میای میبینی گروه های کاربری خیلی مهم هستن.به شرطی که ما مثل آماتورها گروه های کاربری رو همه یکی انتخاب نکنیم.بعضی سرور ها میان همشونو مثلا روت میکنن.که این کاملا اشتباهه.چون همه داخل سرور یک نوع یوزر دارن و اون سرور از کجا میخواد طرف رو بشناسه و احراز هویت کنه؟
بعدش میگی خوب,از چه ماژول هایی استفاده بشه
suphp خوبه.البته با کانفیگش.البته زمانی که بیای داخل کانفیگش بهش یوزر هارو مشخص کنی و سطح دسترسی ها رو بگی
برای دایرکت هم mod_ruid خوبه
بعدش میای میرسی به کانفیگ خود وب سرور
open_base به ازای هر یوزر باید درست بشه.البته باز هم آماتور بازی نشه که یک open_base کلا واسه تمام یوزر ها درست کنید که فقط بره به /home
بعدش بیاین disable function رو تنظیم کنید.حتما نیازی نیست که توابع زیادی داخلش بذارید.چون توابع هم بایپس میشه
بعدش میتونید safe mod هم روشن کنید
البته این سه مورد بالا رو اگه به ازای هر یوزر انجام بدین بهتره.چون بعضی اسکریپت ها هستن که مشکل ساز میشه
یک چیزی واسه گروه های کاربری بگم.بعضی از گروه های کاربری که اضافه میشن,میره به gruop اصلی ست میشن که این هم خطرناکه.خیلی از سرور ها گروه یوزر هارو اصلا چک نمیکنن.سعی کنید گروه رو خود یوزر باشه.داخل passwd میزنه
واسه بعضی سوالاتون این ها کفاف میکنه.اگه بیشتر خواستین بگین تا بهتون بگم چکار کنید.
واسه هر کدوم اینها هم خیلی بحث میشه کرد
البته یکم وقت بذارید خوبه.چون امنیت اصلا اینها نیست.اما واسه سوالتون این مورد رو گفتم.
در ضمن,این رو هم اضافه کنم,امنیت فقط این نیست که بگین توابع رو بستیم تمومه یا اینکه دسترسی یا درست شد دیگه تمومه
نه.mysql+kernel+php+apache or nginx or litespeed و خیلی چیزای جزئی دیگه بهش مربوط هستن
یک هکر نمیاد از یک روش استفاده کنه.روش هاشو فهمیدین,بعدش به ازای هر روش میتونید کار کنید.
سجاد با این حرف من آشنایی داره.امنیت رو بر پایه لایه ها درست کنید.لایه بندی که طرف از یکیش رد شد به لایه بعدی بخوره
حتی کنترل پنل ها هم خودشون خیلی باگ های امنیتی میدون که اونا هم باید یکم تغییرات بهشون داد.
امنیت 100% نیست.اما میشه به نحوی تنظیم کرد که خیلی از مشکلات برطرف باشن.
اینم فراموش نکنید,ایمن ترین سیستم سیستم خاموشه.
موفق باشید.
نقل قول:
نوشته اصلی توسط IrIsT
انجمن تخصصی Iranian Exploit DataBase
احتمالا این دیتابیس وب سایت شما نیست ؟ :65::106:
چرا عزیز.مال خود خود خوشه
خوشحالم که شما دیدین :))
بگردی پابلیک شدشم همراه با لینک مستقیم پیدا میکنی :))
لینوکس دنیای خودش رو داره :) اگه بخوای وارد دنیای لینوکس بشی باید سال ها وقت بزاری . اونوقت اگه پیچیدگی هاشو ندونی نمیتونی ریزه کاری هاشو برطرف بکنینقل قول:
نوشته اصلی توسط IrIsT
تمام صحبت شما درسته ولی درصورتی که زیر بنا و پایه اساس هم همینجوری چیده شده باشه مهم پایه هست وقتی پایه محکم نباشه با کوچکترین تلنگری به روی کار زیر کار از پایه میریزه
صد درصد.مهم پایه و اساس هستش.
حتی یک کانفیگ اشتباه باعث ضرر بسیار شدیدی میشه که دیگه جبران هم نمیشه
کسی هم که میخواد پاشو جایی بذاره و خیلی چیزا ازش یاد بگیره,باید خیلی خرابکاری ها بکنه تا فوت و فن کار دستش بیاد.
اما سخت ترینش اینه که بخوای یک سرور رو به عنوان یک هاستینگ تنظیم کنی.کلی سایت با کلی برنامه داخلشن.یک کانفیگ اشتباه باعث خیلی چیزا میشه